【PHP8.x】openssl_open関数の使い方

Copy
1<?php
2
3/**
4 * Demonstrates the usage of openssl_open for decrypting data that was sealed (encrypted)
5 * using openssl_seal. This process involves hybrid encryption, where a symmetric key
6 * is used for data encryption and then that symmetric key is encrypted by an
7 * asymmetric (public) key. openssl_open uses the private key to decrypt the
8 * symmetric key, and then decrypts the data.
9 */
10function demonstrateOpensslOpen(): void
11{
12    // 1. Generate a new private and public key pair (RSA is common for this).
13    $config = [
14        "digest_alg"       => "sha512",         // Hashing algorithm for key generation.
15        "private_key_bits" => 2048,             // Key strength in bits.
16        "private_key_type" => OPENSSL_KEYTYPE_RSA, // Type of key.
17    ];
18
19    // Create a new private key resource.
20    $privateKeyResource = openssl_pkey_new($config);
21    if ($privateKeyResource === false) {
22        echo "Error: Failed to generate private key.\n";
23        return;
24    }
25
26    // Export the private key to a string. In a real system, this would be stored securely.
27    $privateKeyString = '';
28    if (!openssl_pkey_export($privateKeyResource, $privateKeyString)) {
29        echo "Error: Failed to export private key.\n";
30        openssl_pkey_free($privateKeyResource);
31        return;
32    }
33
34    // Get the public key details from the private key resource.
35    $publicKeyDetails = openssl_pkey_get_details($privateKeyResource);
36    if ($publicKeyDetails === false) {
37        echo "Error: Failed to get public key details.\n";
38        openssl_pkey_free($privateKeyResource);
39        return;
40    }
41    // Extract the public key string. This key is shared for encryption.
42    $publicKeyString = $publicKeyDetails['key'];
43
44    // Define the original plaintext data to be encrypted.
45    $plainText = "Hello, aspiring System Engineer! This is a secret message to be protected.";
46    // Define the symmetric cipher algorithm to be used for data encryption.
47    $cipherAlgo = 'aes-256-cbc';
48
49    // Generate a unique Initialization Vector (IV) for the chosen cipher.
50    // The IV is essential for security in modes like CBC and must be unique for each encryption.
51    $ivLength = openssl_cipher_iv_length($cipherAlgo);
52    if ($ivLength === false) {
53        echo "Error: Invalid cipher algorithm specified: " . $cipherAlgo . "\n";
54        openssl_pkey_free($privateKeyResource);
55        return;
56    }
57    $iv = openssl_random_pseudo_bytes($ivLength);
58    if ($iv === false) {
59        echo "Error: Failed to generate Initialization Vector (IV).\n";
60        openssl_pkey_free($privateKeyResource);
61        return;
62    }
63
64    echo "Original Text: " . $plainText . "\n";
65    echo "----------------------------------------\n";
66
67    // 2. Encrypt (seal) the data using openssl_seal.
68    // This function:
69    // a) Generates a random symmetric key.
70    // b) Encrypts the $plainText with this symmetric key using $cipherAlgo and $iv.
71    // c) Encrypts the symmetric key itself using the provided $publicKeysArray.
72    $sealedData = '';        // Will store the symmetrically encrypted data.
73    $encryptedKeys = [];     // Will store the symmetrically key(s) encrypted by public key(s).
74    $publicKeysArray = [$publicKeyString]; // openssl_seal expects an array of public keys.
75
76    if (!openssl_seal($plainText, $sealedData, $encryptedKeys, $publicKeysArray, $cipherAlgo, $iv)) {
77        echo "Error: Failed to seal data.\n";
78        while ($msg = openssl_error_string()) { // Output any OpenSSL errors for debugging.
79            echo "OpenSSL error: " . $msg . "\n";
80        }
81        openssl_pkey_free($privateKeyResource);
82        return;
83    }
84
85    // The first element of $encryptedKeys holds the symmetric key, encrypted by our public key.
86    $encryptedSymmetricKey = $encryptedKeys[0];
87
88    echo "Data sealed successfully (encrypted with public key).\n";
89    // echo "Sealed Data (base64 for display): " . base64_encode($sealedData) . "\n";
90    // echo "Encrypted Symmetric Key (base64 for display): " . base64_encode($encryptedSymmetricKey) . "\n";
91    echo "----------------------------------------\n";
92
93    // 3. Decrypt (open) the sealed data using openssl_open.
94    // This function reverses the process:
95    // a) Uses $privateKeyString to decrypt $encryptedSymmetricKey, recovering the symmetric key.
96    // b) Uses the recovered symmetric key, $cipherAlgo, and $iv to decrypt $sealedData.
97    $decryptedText = ''; // This variable will store the decrypted plaintext.
98    if (!openssl_open($sealedData, $decryptedText, $encryptedSymmetricKey, $privateKeyString, $cipherAlgo, $iv)) {
99        echo "Error: Failed to open (decrypt) sealed data.\n";
100        while ($msg = openssl_error_string()) { // Output any OpenSSL errors for debugging.
101            echo "OpenSSL error: " . $msg . "\n";
102        }
103        openssl_pkey_free($privateKeyResource);
104        return;
105    }
106
107    echo "Data opened (decrypted with private key) successfully.\n";
108    echo "Decrypted Text: " . $decryptedText . "\n";
109
110    // Verify if the decrypted text matches the original plaintext.
111    if ($plainText === $decryptedText) {
112        echo "Verification: Decrypted text matches original text. Success!\n";
113    } else {
114        echo "Verification: Decrypted text DOES NOT match original text. Failure!\n";
115    }
116
117    // Free the private key resource to release memory.
118    openssl_pkey_free($privateKeyResource);
119}
120
121// Execute the demonstration function to see openssl_open in action.
122demonstrateOpensslOpen();

openssl_open関数は、openssl_seal関数でハイブリッド暗号化されたデータを復号するために利用されます。ハイブリッド暗号化とは、実際のデータは高速な共通鍵暗号方式で暗号化し、その共通鍵だけを公開鍵暗号方式で暗号化して、安全に受け渡しする手法です。openssl_openはこの逆の処理を行い、暗号化された共通鍵とデータを復号します。

具体的には、引数$encrypted_keyで渡された、公開鍵で暗号化された共通鍵を、引数$private_keyで指定された秘密鍵を使って復号します。次に、復号された共通鍵と引数$cipher_algoで指定された暗号化アルゴリズム、および引数$ivで渡された初期化ベクトル（IV）を用いて、引数$dataで渡された暗号化済みのデータを復号します。最終的に復号された平文データは、参照渡しされる引数&$outputに格納されます。

引数$dataには暗号化されたデータ本体、&$outputには復号結果が格納されます。$encrypted_keyには公開鍵で暗号化された共通鍵、$private_keyには復号に使う秘密鍵（リソースまたは文字列）、$cipher_algoにはデータの暗号化に使用したアルゴリズム、$ivには同じくデータ暗号化で使用したIVを指定します。

この関数は、復号処理が成功すればtrueを、失敗すればfalseをブール値で返します。サンプルコードでは、秘密鍵と公開鍵の生成から始まり、openssl_sealによるデータの暗号化、そしてopenssl_openによる復号までの一連の流れが示されており、安全なデータ通信の仕組みを学ぶ上で非常に参考になります。

Copy
1<?php
2
3/**
4 * openssl_open 関数を使用して、エンベロープ暗号化されたデータを複合化する例を示します。
5 *
6 * この関数は以下のステップを実行します：
7 * 1. RSA鍵ペア (公開鍵と秘密鍵) を生成します。
8 * 2. 任意の元データを準備します。
9 * 3. データを暗号化するためのセッションキー (対称鍵) と初期化ベクトル (IV) を生成します。
10 * 4. セッションキーを使用して元データを暗号化します (openssl_encrypt)。この際、生データ形式を使用します。
11 * 5. 受信者の公開鍵を使用してセッションキーを暗号化します (openssl_public_encrypt)。
12 * 6. 暗号化されたデータと暗号化されたセッションキーを、openssl_open 関数と受信者の秘密鍵を使用して複合化します。
13 * 7. 複合化されたデータとセッションキーが元のものと一致するか検証します。
14 */
15function demonstrateOpensslOpenUsage(): void
16{
17    echo "--- openssl_open 関数使用例の開始 ---" . PHP_EOL . PHP_EOL;
18
19    // 1. RSA鍵ペアの生成
20    // 実際のシステムでは、よりセキュアな方法で鍵を生成し、ファイルなどに保存して管理します。
21    $config = [
22        "digest_alg"       => "sha512",
23        "private_key_bits" => 2048,
24        "private_key_type" => OPENSSL_KEYTYPE_RSA,
25    ];
26
27    $res = openssl_pkey_new($config);
28    if ($res === false) {
29        echo "エラー: 鍵ペアの生成に失敗しました。" . PHP_EOL . openssl_error_string() . PHP_EOL;
30        return;
31    }
32
33    // 秘密鍵をPEM形式の文字列としてエクスポート
34    if (!openssl_pkey_export($res, $privateKeyPem)) {
35        echo "エラー: 秘密鍵のエクスポートに失敗しました。" . PHP_EOL . openssl_error_string() . PHP_EOL;
36        return;
37    }
38
39    // 公開鍵をPEM形式の文字列として取得
40    $publicKeyDetails = openssl_pkey_get_details($res);
41    if ($publicKeyDetails === false || !isset($publicKeyDetails['key'])) {
42        echo "エラー: 公開鍵の詳細取得に失敗しました。" . PHP_EOL . openssl_error_string() . PHP_EOL;
43        return;
44    }
45    $publicKeyPem = $publicKeyDetails['key'];
46
47    echo "INFO: RSA鍵ペアが正常に生成されました。" . PHP_EOL . PHP_EOL;
48
49    // 2. 元データの準備
50    $originalData = "これはOpenssl_open関数を使った機密メッセージです。";
51    $cipherAlgo = 'aes-256-cbc'; // 対称暗号化アルゴリズム (OpenSSLでサポートされているもの)
52    $ivLength = openssl_cipher_iv_length($cipherAlgo);
53    // 初期化ベクトル (IV) を生成。暗号化と複合化で同じIVを使用する必要があります。
54    $iv = openssl_random_pseudo_bytes($ivLength);
55
56    echo "INFO: 元データ: '" . $originalData . "'" . PHP_EOL;
57    echo "INFO: 使用する暗号アルゴリズム: " . $cipherAlgo . PHP_EOL;
58    echo "INFO: IV (Base64エンコード): " . base64_encode($iv) . PHP_EOL . PHP_EOL;
59
60    // 3. セッションキー (対称鍵) の生成
61    // openssl_open はこのセッションキーの暗号化されたバージョンを受け取り、複合化します。
62    // AES-256 の場合、32バイト (256ビット) のキーを使用します。
63    $sessionKey = openssl_random_pseudo_bytes(32);
64    echo "INFO: セッションキーが生成されました。" . PHP_EOL . PHP_EOL;
65
66    // 4. セッションキーを使用して元データを暗号化
67    // OPENSSL_RAW_DATA フラグを使用すると、結果はbase64エンコードされずに生のバイナリ形式で返されます。
68    // キーワード 'openssl_encrypt' と 'openssl_raw_data' に関連。
69    $encryptedData = openssl_encrypt(
70        $originalData,
71        $cipherAlgo,
72        $sessionKey,
73        OPENSSL_RAW_DATA, // 生のバイナリデータを出力
74        $iv
75    );
76
77    if ($encryptedData === false) {
78        echo "エラー: データの暗号化に失敗しました。" . PHP_EOL . openssl_error_string() . PHP_EOL;
79        return;
80    }
81    echo "INFO: データがセッションキーで暗号化されました。" . PHP_EOL;
82    echo "INFO: 暗号化データ (Base64エンコード): " . base64_encode($encryptedData) . PHP_EOL . PHP_EOL;
83
84    // 5. 受信者の公開鍵を使用してセッションキーを暗号化 (エンベロープ暗号化)
85    // この暗号化されたセッションキーが openssl_open の引数 $encrypted_key になります。
86    $encryptedSessionKey = '';
87    if (!openssl_public_encrypt($sessionKey, $encryptedSessionKey, $publicKeyPem)) {
88        echo "エラー: セッションキーの公開鍵暗号化に失敗しました。" . PHP_EOL . openssl_error_string() . PHP_EOL;
89        return;
90    }
91    echo "INFO: セッションキーが公開鍵で暗号化されました。" . PHP_EOL;
92    echo "INFO: 暗号化セッションキー (Base64エンコード): " . base64_encode($encryptedSessionKey) . PHP_EOL . PHP_EOL;
93
94    // --- ここまでが送信者側で準備されるデータ ---
95    // --- ここからが受信者側で行われる複合化処理 ---
96
97    // 6. openssl_open 関数を使用してデータとセッションキーを複合化
98    // $decryptedDataOutput は参照渡しで、複合化されたデータが格納されます。
99    $decryptedDataOutput = ''; // 複合化されたデータがここに格納されます
100
101    // openssl_open の戻り値は、複合化されたセッションキー (string) または失敗時に false です。
102    $decryptedSessionKey = openssl_open(
103        $encryptedData,        // 暗号化されたデータ
104        $decryptedDataOutput,  // 複合化されたデータが格納される変数 (参照渡し)
105        $encryptedSessionKey,  // 公開鍵で暗号化されたセッションキー
106        $privateKeyPem,        // 受信者の秘密鍵
107        $cipherAlgo,           // 暗号化に使用されたアルゴリズム
108        $iv                    // 初期化ベクトル
109    );
110
111    if ($decryptedSessionKey === false) {
112        echo "エラー: openssl_open によるデータとセッションキーの複合化に失敗しました。" . PHP_EOL . openssl_error_string() . PHP_EOL;
113        return;
114    }
115
116    echo "--- openssl_open による複合化が完了しました ---" . PHP_EOL;
117    echo "結果: 複合化されたデータ: '" . $decryptedDataOutput . "'" . PHP_EOL;
118    echo "結果: 複合化されたセッションキー (Base64エンコード): " . base64_encode($decryptedSessionKey) . PHP_EOL . PHP_EOL;
119
120    // 7. 検証: 複合化されたデータとセッションキーが元のものと一致するか確認
121    if ($decryptedDataOutput === $originalData) {
122        echo "検証結果: 成功！複合化されたデータは元のデータと一致します。" . PHP_EOL;
123    } else {
124        echo "検証結果: 失敗！複合化されたデータが元のデータと一致しません。" . PHP_EOL;
125    }
126
127    if ($decryptedSessionKey === $sessionKey) {
128        echo "検証結果: 成功！複合化されたセッションキーは元のセッションキーと一致します。" . PHP_EOL;
129    } else {
130        echo "検証結果: 失敗！複合化されたセッションキーが元のセッションキーと一致しません。" . PHP_EOL;
131    }
132
133    echo PHP_EOL . "--- openssl_open 関数使用例の終了 ---" . PHP_EOL;
134}
135
136// 関数を実行してサンプルコードの動作を確認します
137demonstrateOpensslOpenUsage();

PHPのopenssl_open関数は、エンベロープ暗号化されたデータを複合化するために使用されます。エンベロープ暗号化とは、データ本体を高速な対称鍵で暗号化し、その対称鍵を非対称鍵（公開鍵）でさらに暗号化して安全に送受信する技術です。

この関数は、$dataで指定された対称暗号化済みのデータと、$encrypted_keyで指定された公開鍵で暗号化済みのセッションキー（対称鍵）を複合化します。処理では、まず$private_key（受信者の秘密鍵）を用いて$encrypted_keyを複合化し、その結果得られたセッションキーと、元の暗号化に使用された$cipher_algo（暗号アルゴリズム）および$iv（初期化ベクトル）を使用して$dataを複合化します。複合化されたデータ本体は、参照渡しである&$outputに格納されます。

関数が成功した場合は、複合化されたセッションキーが文字列として返され、失敗した場合はfalseが返されます。データ本体の暗号化は、通常openssl_encrypt関数とOPENSSL_RAW_DATAフラグを用いて行われます。